Por Hannah Pérez  

Una brecha en ShipMonk, proveedor de logística de Trezor, expuso nombres, correos electrónicos, teléfonos y direcciones de entrega de miles de compradores. Las claves privadas, frases de recuperación y fondos no fueron comprometidos, pero la información filtrada eleva considerablemente el riesgo de phishing, suplantación de identidad e incluso amenazas físicas.

***

  • La brecha afecta aproximadamente a 13.689 clientes de Trezor, principalmente compradores recientes.
  • Unos 11.742 usuarios tuvieron expuestos nombre, correo, teléfono y dirección de envío; otros 1.947, nombre, ciudad y correo.
  • Las wallets, claves privadas, PIN y frases de recuperación no fueron comprometidas: no es necesario mover los fondos por esta filtración.
  • El principal peligro ahora son ataques dirigidos de phishing, llamadas, mensajes o incluso cartas que pueden utilizar datos reales para hacerse pasar por Trezor.

 

Trezor informó este jueves 13 de agosto de 2026 que uno de sus proveedores de logística sufrió una brecha de seguridad que expuso información personal de aproximadamente 13.689 clientes, un incidente que no comprometió directamente las billeteras hardware de la compañía pero que podría convertir a los afectados en objetivos mucho más fáciles para estafadores.

La empresa identificó al proveedor afectado como ShipMonk, encargado de almacenar y despachar productos de Trezor en varios mercados. ShipMonk notificó a Trezor el lunes 10 de agosto que un tercero no autorizado había accedido a sistemas que contenían información de pedidos. La investigación todavía continúa.

De acuerdo con Trezor, 11.742 clientes tuvieron expuestos sus nombres completos, direcciones de correo electrónico, números telefónicos y direcciones de envío. Otros 1.947 usuarios tuvieron expuestos nombre, ciudad y correo electrónico, para un total aproximado de 13.689 personas.

Los pedidos afectados corresponden principalmente a clientes que recibieron dispositivos entre el 10 de mayo y el 8 de agosto de 2026 en Estados Unidos, Reino Unido, Suecia, Colombia, Brasil, Italia y Portugal. Sin embargo, Trezor advirtió que parte del grupo de 1.947 clientes con exposición parcial podría incluir pedidos anteriores y dijo que está verificando ese dato con ShipMonk.

Lo primero que debes: tus bitcoins no fueron robados

La distinción más importante es que los sistemas internos de Trezor no fueron comprometidos.

La brecha ocurrió en ShipMonk y afectó información utilizada para procesar los envíos. No se filtraron frases de recuperación, claves privadas, PIN ni información que permita directamente reconstruir una wallet.

Trezor asegura que sus dispositivos, productos y servicios continúan operando normalmente y que las hardware wallets siguen siendo seguras. Por esa razón, un usuario afectado no necesita crear una nueva wallet o billetera, generar una nueva frase de recuperación ni trasladar sus criptomonedas simplemente como consecuencia de esta filtración.

Hacerlo apresuradamente podría incluso incrementar el riesgo si el usuario termina siguiendo instrucciones falsas recibidas precisamente como parte de una campaña de phishing.

Esta es una diferencia fundamental frente a vulnerabilidades donde las claves criptográficas sí quedan comprometidas, como ocurrió recientemente con determinadas versiones de Coldcard.

Entonces, ¿cuál es el peligro?

Que la información filtrada resulta extraordinariamente útil para la ingeniería social. Un atacante puede disponer ahora de datos que permiten saber no solamente quién es una determinada persona, sino también que esa persona compró un monedero de Trezor.

En el caso de los 11.742 usuarios con mayor exposición, un delincuente podría conocer simultáneamente:

  • nombre completo;
  • correo electrónico;
  • número telefónico;
  • dirección física de entrega.

Eso permite fabricar comunicaciones considerablemente más convincentes que el típico correo genérico de phishing.

Un atacante podría llamar a la víctima, dirigirse a ella por su nombre, mencionar su ciudad o dirección y hacerse pasar por Trezor para advertirle de una supuesta “vulnerabilidad crítica”, “wallet comprometida” o “actualización urgente”.

Trezor reconoce expresamente que los datos podrían utilizarse para correos falsos, llamadas telefónicas, cartas fraudulentas o suplantaciones de la propia compañía, bancos y exchanges de criptomonedas.

Qué deben hacer los usuarios afectados

La regla más importante es sencilla: una frase de recuperación nunca debe introducirse en una página web ni entregarse a otra persona.

Trezor recomienda desconfiar especialmente de cualquier comunicación que solicite actuar con urgencia o entregar información personal y contrastar cualquier aviso recibido con los canales oficiales de la empresa. Esto incluye mensajes que aseguren que el usuario debe:

  • “verificar” su frase de recuperación;
  • sincronizar nuevamente su hardware wallet;
  • restaurar la wallet en una página web;
  • escanear un código QR para proteger los fondos;
  • descargar urgentemente una supuesta actualización;
  • transferir criptomonedas a una “wallet segura”;
  • proporcionar el PIN;
  • compartir una frase de recuperación con personal de soporte.

Ninguna filtración de datos de envío requiere entregar esa información. Trezor también recuerda que nunca solicitará por teléfono el backup de una wallet.

Qué NO se debe hacer

La existencia de la filtración, por sí sola, no justifica mover las criptomonedas. Tampoco es necesario:

  • reemplazar automáticamente el dispositivo Trezor;
  • destruir la hardware wallet;
  • generar una nueva frase de recuperación;
  • cambiar el PIN simplemente por este incidente;
  • restaurar la wallet;
  • introducir la frase de recuperación en Trezor Suite o cualquier página porque alguien lo solicite mediante correo, teléfono o mensaje.

La filtración no proporciona al atacante la capacidad criptográfica de gastar los activos. El peligro consiste precisamente en convencer al propietario para que le entregue esa capacidad.

¿Cómo saber si fui afectado?

Trezor asegura que contactó individualmente a los clientes identificados mediante un correo procedente de help@trezor.io. Según la compañía, si el cliente no recibió esa notificación, no figura entre los afectados identificados hasta ahora.

Aun así, conviene no utilizar simplemente el remitente visible de un correo como prueba de autenticidad, porque los atacantes pueden falsificar la apariencia de determinados mensajes.

Si una comunicación pide realizar alguna acción relacionada con los fondos, la opción más segura es abandonar el enlace recibido y acceder independientemente a los canales oficiales de Trezor.

La dirección física es un problema especialmente delicado

El correo electrónico y el teléfono facilitan ataques digitales, pero la exposición de direcciones residenciales introduce otro nivel de riesgo.

En el ecosistema de criptomonedas se denomina informalmente “wrench attack” a los ataques en los que delincuentes recurren a amenazas, extorsión, secuestro o violencia física para obligar al propietario de criptomonedas a transferir sus activos.

Una base de datos que relaciona una persona y su domicilio con la compra de una hardware wallet puede ayudar a identificar potenciales propietarios de activos digitales.

The Block señala precisamente este riesgo al analizar el incidente de Trezor y recuerda que las filtraciones de información personal relacionadas con criptomonedas han sido utilizadas anteriormente para identificar objetivos de ataques físicos.

Eso no significa que todos los usuarios afectados se encuentren ante una amenaza física inmediata. Sí significa que quienes tuvieron expuesta su dirección deberían considerar esa información como permanentemente comprometida y ser especialmente cuidadosos al revelar públicamente cuánto patrimonio mantienen en criptomonedas.

El precedente de Ledger: por qué el problema puede durar años

El caso más conocido de este tipo ocurrió con Ledger.

Una brecha de su infraestructura comercial en 2020 terminó exponiendo más de un millón de direcciones de correo electrónico. Posteriormente apareció públicamente una base de datos que contenía información detallada —incluidos nombres, números telefónicos y direcciones postales— de aproximadamente 272.000 clientes.

Los dispositivos Ledger y los fondos tampoco habían sido comprometidos directamente. Sin embargo, los datos alimentaron durante años campañas de phishing mediante correo electrónico, SMS, llamadas y correspondencia física. Todavía en 2026 se siguen reportando intentos de fraude dirigidos a usuarios cuyos datos aparecieron en aquella filtración.

Ese precedente ayuda a entender por qué el incidente de Trezor es relevante aunque ninguna clave privada haya sido robada.

La información personal no puede simplemente “rotarse” como una contraseña. Una dirección residencial, nombre completo o número telefónico puede continuar siendo útil para los atacantes mucho después de haber finalizado la investigación inicial.

Incluso pueden llegar cartas falsas a la casa

Los usuarios tampoco deberían asumir que una comunicación física es legítima simplemente porque llegó a la misma dirección donde recibieron su dispositivo.

Durante los últimos años han circulado campañas contra usuarios de hardware wallets mediante cartas aparentemente profesionales que incluyen logotipos de fabricantes, advertencias de seguridad y códigos QR.

El objetivo termina siendo el mismo: llevar al usuario a una página donde se le solicita introducir su frase de recuperación. La filtración de Trezor facilita precisamente ese tipo de ataque porque un delincuente podría disponer de nombre y dirección reales.

La primera filtración de este tipo desde 2013 para Trezor

La compañía calificó el incidente como la primera ocasión desde su fundación en 2013 en que una brecha relacionada con Trezor ha expuesto teléfonos y direcciones de envío de clientes.

La cantidad de usuarios afectados fue limitada en parte por una política de retención mediante la cual Trezor exige que los datos asociados a pedidos sean eliminados o anonimizados 90 días después de la entrega. ShipMonk estaba sujeto a esa misma política, según la empresa.

Trezor indicó además que ShipMonk ya aseguró los sistemas afectados y reforzó sus medidas de seguridad, mientras ambas compañías continúan investigando el acceso no autorizado.

Trezor prepara entregas más anónimas

El episodio también ha vuelto a poner sobre la mesa un problema estructural de las hardware wallets: aunque las claves permanezcan completamente fuera de línea, comprar un dispositivo físico normalmente requiere entregar datos personales a fabricantes, empresas de pagos, transportistas y operadores logísticos.

Trezor recomienda utilizar, cuando resulte apropiado, un correo electrónico independiente que no esté vinculado públicamente con la identidad del comprador, considerar pagos con criptomonedas o tarjetas digitales desechables y utilizar apartados postales cuando sea posible. La empresa también prepara un sistema denominado Anonymous Delivery, que utilizará puntos de recogida, empaques neutrales, datos genéricos del remitente y eliminación automática de identificadores de envío después de la entrega.

Trezor pretende implementar el servicio en la Unión Europea en septiembre de 2026 y en Estados Unidos antes de finalizar el año.

No confundirse con la vulnerabilidad del Trezor Safe 7

Este incidente tampoco debe confundirse con otra vulnerabilidad divulgada en junio relacionada con el chip TROPIC01 utilizado por el Trezor Safe 7.

Ledger Donjon descubrió mediante una auditoría una vulnerabilidad que permitía realizar un ataque de inyección de fallos con láser contra el Secure Element TROPIC01. Tropic Square encontró posteriormente una técnica adicional relacionada con funciones utilizadas para proteger el PIN.

Sin embargo, según Trezor, explotar TROPIC01 no resulta suficiente para acceder a las claves, PIN o backup del usuario porque el Safe 7 utiliza otras dos capas independientes de protección.

Además, el ataque requiere acceso físico al dispositivo, desmontarlo, desoldar el chip, abrir su encapsulado y utilizar equipamiento especializado de laboratorio para realizar la inyección láser. Trezor sostuvo entonces que los usuarios no necesitaban tomar ninguna acción.

El incidente de agosto es completamente diferente: no afecta el hardware del Safe 7 ni sus mecanismos criptográficos, sino información comercial almacenada por un tercero.

Coldcard: un incidente distinto que comprometió los bitcoins

El reciente caso de Coldcard fue técnicamente mucho más grave para la custodia de los fondos. Coinkite, fabricante del dispositivo, advirtió a finales de julio sobre una vulnerabilidad en determinadas versiones de firmware que reducía la entropía utilizada para generar algunas frases semilla. Eso podía hacer que ciertas wallets fueran más vulnerables a ataques de búsqueda computacional.

El problema afectaba seeds creadas con versiones específicas de firmware en modelos Mk2, Mk3, Mk4, Mk5 y Q, y estuvo asociado a robos de bitcoins que investigadores vincularon con la debilidad. Actualizar el firmware no corregía una seed ya generada: los usuarios potencialmente afectados debían crear una nueva frase con software corregido y transferir allí sus fondos.

La diferencia con Trezor es fundamental. En Coldcard, la debilidad podía estar en la propia seed y, por tanto, poner directamente en riesgo las criptomonedas.

En la filtración de Trezor, en cambio, las claves privadas y frases de recuperación siguen protegidas; lo comprometido son datos personales que pueden facilitar phishing y suplantaciones. Por eso un usuario de Trezor no necesita mover sus fondos por esta brecha, mientras que determinados usuarios afectados por el fallo de Coldcard sí debían migrar a una nueva wallet.

Dos incidentes que ilustran dos riesgos completamente diferentes

La proximidad temporal de los casos Trezor y Coldcard puede generar la impresión de una vulnerabilidad generalizada en las hardware wallets, pero los mecanismos son muy diferentes.

En Coldcard, falló una propiedad criptográfica esencial utilizada al crear determinadas claves. Un atacante potencialmente podía llegar a los fondos sin convencer al propietario de que revelara su seed.

En Trezor, la protección criptográfica de la wallet permanece intacta. El atacante tiene información sobre el propietario y debe aprovecharla mediante phishing, engaño, suplantación o, en el peor de los casos, coerción física.

Paradójicamente, eso significa que para un usuario de Trezor la acción más peligrosa ahora podría ser reaccionar excesivamente a la noticia. Un mensaje que diga “su Trezor fue comprometido, mueva sus fondos inmediatamente” encaja perfectamente con el tipo de estafa que esta filtración hace posible.

La recomendación esencial para los afectados puede resumirse de forma mucho más sencilla: no entregar la frase de recuperación, no introducirla en Internet, desconfiar de cualquier solicitud urgente y recordar que esta filtración no exige mover los fondos.

Imagen de Unsplash

Este artículo fue escrito por un redactor de contenido de IA

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados